Pourquoi l'UE s'attendrait-elle à ce que l'une de ses lois s'applique à mon entreprise?

Ce n'est pas le cas.

À moins que vous choisissez de faire des affaires dans l'UE (ce qui est possible grâce aux merveilles du World Wide Web).

Alors , et alors seulement, devez-vous vous conformer au droit de l'UE, y compris le RGPD.

D'après un commentaire de @BenCollins:

Je parle de la connexion hors UE en ligne commerce de détail qui permet aux Européens (en particulier à ceux qui ne sont pas réellement dans l'UE au moment de la transaction) de passer des commandes.

En gros, l'article 3 du RGPD dit que le GDPR

s'applique au traitement des données personnelles des personnes concernées qui sont dans l'Union

L'expression "dans l'union "est clairement ouvert à l'interprétation, mais selon le site Web Security Now, Dr. Michèle Finck dit ceci:

La plupart des gens semblent convenir que le critère pertinent est de savoir si vous êtes basé dans l'UE au moment où les données sont collectées - citoyenne ou non (je souligne).

Bien que Michèle Finck soit une juriste réputée, elle n'est pas une source juridique faisant autorité, nous devons donc attendre la jurisprudence pour clouer ça. Pour ce que ça vaut, (pas grand-chose j'en ai peur) je pense qu'il serait contraire au bon sens de définir la portée territoriale si large que les magasins physiques aux États-Unis risquent d'être poursuivis en Europe s'ils vendaient des biens ou des services à des européens les touristes.

Cependant, quelles sont la plupart entreprises basées aux États-Unis qui choisissent d'être ouvertes pour les commandes passées par des personnes physiques qui sont dans le [ L'Union européenne a besoin de savoir qu'il y a ceci: selon la loi européenne , le GDRP s'applique à eux lorsqu'ils mènent de telles activités.

De un commentaire de @BenCollins:

Je remets en question les notions selon lesquelles (a) il existe une base sur laquelle la loi s'appliquerait

La base juridique est le droit européen, en particulier l ' article 3 du RGPD.

et (b) qu'il dispose de mécanismes d'application en dehors de l'UE.

Quant à l ' exécution , je pense qu'une bonne réponse a déjà été fournie par Dale M. mais pour être complète: les États-Unis ont des traités avec l'UE qui signifient qu'après une affaire judiciaire a été tranchée par un tribunal de l'UE, elle peut demander aux États-Unis d'appliquer le jugement (généralement en percevant l'amende encourue par l'entreprise basée aux États-Unis lorsqu'elle exerce ses activités en Europe).

Pour rendre cette réponse plus générale, voici une ventilation de la réglementation du champ d'application territorial du RGPD pour les entreprises qui ne sont pas situées dans l'UE:

Le champ d'application est clairement défini dans l ' article 3, et si vous n'êtes pas "un responsable du traitement ou un sous-traitant dans l'Union", vous n'êtes soumis au RGPD que si vos activités de traitement sont liées à :

a) l'offre de biens ou de services, indépendamment ve sur la question de savoir si un paiement de la personne concernée est exigé, à ces personnes concernées dans l'Union; ou

b) la surveillance de leur comportement dans la mesure où leur comportement a lieu au sein de l'Union.

Les entreprises basées aux États-Unis qui se livrent à des pratiques commerciales illégaux en Europe le savent, et a déjà pris des mesures pour se protéger des poursuites en Europe en vertu du RGPD en utilisant des pare-feu pour bloquer l'accès à leurs services depuis l'UE.

Le bas est que si vous:

1. n'êtes pas présent en Europe et
2. n'offrez pas de biens ou de services aux personnes qui se trouvent dans l'Union, et
3. vous ne collectez pas de données personnelles sur les personnes physiques européennes,

alors le RGPD ne s'applique pas à vous. Si au moins l'une des conditions ci-dessus s'applique, vous devez suivre le RGPD si vous ne souhaitez pas être poursuivi dans l'UE.

En ce qui concerne la question de savoir si votre petite entreprise devra se conformer au RGPD en fonction de certains éléments, je pense que la réponse peut être non. Je lisais récemment un document du gouvernement australien Les entreprises australiennes et le règlement général de l'UE sur la protection des données qui décrit comment il affecte les entités australiennes. Il contient les exemples suivants d'entreprises qui doivent se conformer et je suis sûr que la même chose s'appliquerait aux États-Unis:

• une entreprise australienne avec un bureau dans l'UE

• une entreprise australienne dont le site Web cible les clients de l'UE, par exemple en leur permettant de commander des biens ou des services dans une langue européenne (autre que l'anglais) ou en permettant le paiement en euros

• une entreprise australienne dont le site Web mentionne des clients ou des utilisateurs dans l'UE

• une entreprise australienne qui suit les individus dans l'UE sur Internet et utilise des techniques de traitement de données pour établir leur profil aux individus d'analyser et de prédire leurs préférences, comportements et attitudes personnels

Cette section fait référence au considérant 12 qui comprend le paragraphe suivant:

Afin de déterminer si un tel responsable du traitement ou sous-traitant propose des biens ou des services aux personnes concernées qui se trouvent dans l'Union, il convient de vérifier s'il est évident que le responsable du traitement ou le sous-traitant envisage de proposer des services aux personnes concernées dans un ou plusieurs États membres de l'Union.

Considérant que la simple accessibilité du site Web du responsable du traitement, du sous-traitant ou d'un intermédiaire dans l'Union, d'une adresse e-mail ou d'autres coordonnées, ou l'utilisation d'une langue généralement utilisée dans le pays tiers où le responsable du traitement est établi, est insuffisante pour vérifier cette intention, des facteurs tels que l'utilisation d'une langue ou d'une monnaie généralement utilisée dans un ou plusieurs États membres avec la possibilité de commander des biens et des services dans cette autre langue, ou la mention de clients ou d'utilisateurs qui se trouvent dans l'Union, peut faire apparaître que le responsable du traitement envisage d'offrir des biens ou des services aux personnes concernées dans l'Union.

Ce qui semble confirmer l'interprétation du gouvernement australien selon laquelle si vous utilisez simplement votre devise / langue locale plutôt que ciblant spécifiquement l'UE au moyen de la devise, de la langue ou en mentionnant spécifiquement la zone que vous ne devriez pas avoir à respecter Vous devrez faire attention au dernier point d'analyse et de prédiction des préférences personnelles si vous utilisez une sorte de boutique en ligne qui affiche des pages "produits que vous pourriez aimer" basées sur le comportement passé d'un utilisateur.

J'imagine que l'exemption a été mise en place pour gérer les millions d'entreprises sur Internet qui ont un nombre assez insignifiant de clients dans l'UE qui pourraient autrement simplement arrêter de vendre des biens et des services à l'UE.

Si votre entreprise enfreint la loi en France, par exemple, le gouvernement français peut la poursuivre devant un tribunal français. En supposant qu'ils gagnent (ce qui est probable si vous ne défendez pas les poursuites), les États-Unis ont des traités avec la France qui signifient (à quelques exceptions près) que le gouvernement français peut demander l'exécution devant un tribunal américain.

Voilà comment .

Je ne suis pas avocat, je pense aux normes du droit international (qui sont au-dessus des traités), et autoriser que les traités puisse créer certaines sortes d'exceptions, mais cela ressemble à un cas de revendication excessive de droits juridiques par l'UE . L'UE pourrait être autorisée à revendiquer sa compétence en raison de l'utilisation de l'euro, qui en un sens est la propriété de l'UE (tout comme les États-Unis ont le droit d'interdire le blanchiment d'argent en utilisant des dollars), mais pas en raison de la langue, car, par exemple, la France ne possède pas le français, personne ne le fait, même si la France, à travers L'Académie française, établit des normes pour un français approprié. L'UE peut interdire à ses citoyens d'acheter aux entreprises américaines mais ne peut pas empêcher les entreprises américaines de vendre aux citoyens de l'UE. D'après les articles ci-dessus, il semble que les litiges dans et hors de l'UE devront fixer des limites à l'applicabilité du RGPD. Alors que les traités prévoient apparemment une application internationale, les États-Unis ont mis fin au tourisme en diffamation aux États-Unis après que quelqu'un a remporté un procès au Royaume-Uni contre un livre avec des ventes d'environ 27 exemplaires en raison d'une concession, puis a tenté d'arrêter les ventes de livres aux États-Unis où les ventes étaient importantes. Ainsi, un traité de domestication peut être soumis à une limite similaire et je soupçonne que le Congrès américain ou les États légiféreront une limite à la portée du RGPD, ouvrant ainsi la voie à des litiges. L'idée que la surveillance étrangère de l'activité publique d'une personne peut être interdite par l'UE signifie que les citoyens américains lisant sur les chefs d'État des pays de l'UE violeraient la loi; vous pouvez imaginer jusqu'où un effort pour faire appliquer cette interdiction aboutirait aux États-Unis. Imaginez que l'UE poursuive CBS-TV ou NY Times pour avoir surveillé des personnalités publiques de l'UE ou des citoyens privés, par exemple en interviewant un commerçant berlinois. Donc, pour répondre à la question initiale, si l'affiche n'a aucun lien supplémentaire avec l'UE, il n'est probablement pas sous la juridiction de l'UE, même pour les ventes aux Européens, mais il devrait rester en contact avec les rapports de presse sur les litiges pour voir comment les choses bougent.